Vulnerabilità TP-Link Kasa: come gli hacker possono rubare dati e accedere alla tua rete locale

Se possiedi una telecamera di sicurezza Kasa di TP-Link, è fondamentale agire immediatamente per proteggere la tua privacy e la sicurezza della tua rete domestica. Due gravi vulnerabilità scoperte nei modelli Kasa EC70 v4 e EC71 v4 consentono a chiunque sia collegato alla stessa rete Wi-Fi di rubare le tue password di amministratore e di scoprire la posizione GPS esatta della tua casa, senza bisogno di inserire alcuna password. La soluzione è semplice e immediata: aggiorna il firmware della telecamera alla versione 2.4.0 o 2.4.1 scaricando l’ultima versione dall’app Kasa o dal portale di supporto ufficiale di TP-Link. Non aspettare, perché le dispositivi non aggiornati sono ancora vulnerabili a attacchi che possono compromettere la tua sicurezza fisica e digitale.

Le telecamere di sicurezza sono progettate per proteggere i nostri spazi, ma quando il loro software contiene errori critici, possono trasformarsi in punti di ingresso per gli intrusi. In questo caso, TP-Link ha riconosciuto che due falle specifiche permettono agli attaccanti di sfruttare la rete locale per accedere a informazioni sensibili. Il rischio maggiore riguarda la possibilità di condurre attacchi Man-in-the-Middle (MitM), dove un hacker si interpone silenziosamente tra la telecamera e il suo pannello di controllo, intercettando tutto il traffico e rubando le credenziali di accesso. Inoltre, un altro errore permette di leggere i dati di geolocalizzazione semplicemente inviando una richiesta di scoperta sulla rete, senza che il sistema chieda di identificarsi. Questo significa che un estraneo nella tua rete, o un router compromesso, potrebbe sapere esattamente dove ti trovi e accedere ai tuoi dati di configurazione.

La buona notizia è che TP-Link ha già rilasciato gli aggiornamenti necessari per risolvere questi problemi. È indispensabile che tutti gli utenti di questi modelli specifici verificano immediatamente lo stato del loro dispositivo e applicano la nuova versione del software. Fino all’installazione dell’aggiornamento, è consigliabile adottare misure di precauzione come separare le telecamere su una rete IoT dedicata, utilizzare una crittografia Wi-Fi forte e limitare l’accesso alla rete locale solo ai dispositivi autorizzati. Queste azioni semplici possono ridurre drasticamente il rischio di essere vittime di un attacco, anche se il dispositivo non è ancora aggiornato. La sicurezza delle tue smart home dipende dalla tua reattività: non ignorare gli avvisi di sicurezza e procedi all’aggiornamento oggi stesso.

Oltre all’aggiornamento immediato, è importante comprendere come questi attacchi funzionano per prevenire futuri rischi. Gli hacker non necessitano di privilegi speciali o di interazione con l’utente per iniziare l’attacco; una volta che sono sulla stessa rete, il processo può essere automatico. Questo rende la segmentazione della rete una strategia di difesa fondamentale. Se un dispositivo nella tua rete principale viene compromesso, una rete separata per le smart camera può impedire che l’attaccante raggiunga il pannello di gestione della telecamera. TP-Link invita tutti i clienti ad applicare le correzioni disponibili con urgenza, sottolineando che i dispositivi non aggiornati potrebbero rimanere vulnerabili per lungo tempo, esponendo gli utenti a potenziali violazioni della privacy e all’accesso non autorizzato ai loro sistemi di sicurezza.

Technical Deep Dive

Per gli utenti tecnici e gli esperti di sicurezza che necessitano di dettagli approfonditi sulle vulnerabilità, ecco un’analisi tecnica delle falle corrette e dei meccanismi di attacco coinvolti.

Panoramica delle Vulnerabilità Corrette

TP-Link ha rilasciato aggiornamenti di sicurezza per due vulnerabilità critiche nei modelli Kasa EC70 v4 e EC71 v4: CVE-2026-9770 e CVE-2026-13230. Queste falle sono classificate come Information Disclosure Vulnerabilities (vulnerabilità di divulgazione di informazioni) e permettono a un attaccante sulla rete locale di accedere a dati sensibili senza autenticazione.

CVE-2026-9770: Divulgazione di Chiave Crittografica Hardware (CVSS 8.6 – High)

Questa è la vulnerabilità più grave, con un punteggio CVSS v4.0 di 8.6, classificata come High. Il problema deriva da una chiave crittografica hardcoded (fissa) incorporata nell’immagine di sistema della telecamera. La chiave è identica per tutti i dispositivi della stessa famiglia di firmware, creando un rischio fleet-wide (a livello di tutta la flotta di dispositivi).

Meccanismo di Attacco: Un attaccante che ottiene accesso al firmware di un singolo dispositivo può estrarre la chiave privata. Se questo attaccante è anche sulla stessa rete locale di una telecamera vulnerabile, può utilizzare la chiave per decifrare il traffico tra la telecamera e il suo web management interface.
Impatto: La divulgazione della chiave compromette la confidenzialità delle comunicazioni. Questo permette l’esecuzione di attacchi Man-in-the-Middle (MitM), dove l’attaccante può intercettare il traffico, modificare i dati o, più critico, rubare le credenziali amministrative (login e password) inviate durante la sessione di gestione.
Vettore di Attacco: La complessità dell’attacco è bassa (AV:A – Attack Vector: Adjacent Network), non richiede privilegi (PR:N) e non richiede interazione dell’utente (UI:N). L’influenza è alta sulla confidenzialità (VC:H) e sull’integrità (VI:H).

CVE-2026-13230: Divulgazione di Informazioni nella Risposta di Scoperta Locale (CVSS 5.3 – Medium)

La seconda vulnerabilità, con punteggio CVSS v4.0 di 5.3 (Medium), riguarda il meccanismo di scoperta locale (local discovery response) delle telecamere.

Meccanismo di Attacco: Il servizio di scoperta risponde a richieste di scoperta senza richiedere autenticazione. Un attaccante sulla stessa rete può inviare richieste di scoperta o risposte manipolate (crafted requests/responses) per recuperare dati sensibili.
Impatto: Questa falla permette l’esposizione di informazioni geolocalizzate (coordinate GPS precise della casa) senza alcuna autenticazione. Un singolo pacchetto UDP al port 9999 può essere sufficiente per ottenere le coordinate con precisione metrica.
Limitazioni: TP-Link ha specificato che questa vulnerabilità impatta solo la confidenzialità. Non ci sono evidenze di impatto sull’integrità (VI:N) o sulla disponibilità (VA:N) del dispositivo.

Analisi Tecnica Dettagliata e Rischi Correlati

Chiavi Crittografiche Fleet-Wide e Validità

L’analisi del firmware ha rivelato che i dispositivi EC70 e EC71 v4 condividono due coppie di chiavi RSA identiche:

Una coppia legacy 1024-bit originata nel 2014.
Una coppia attiva 2048-bit emessa nel 2021, valida fino al 2031.

La condivisione di queste chiavi significa che l’estrazione della chiave privata da un solo dispositivo fornisce il materiale di decifratura per tutta la flotta di dispositivi installati. Questo è un esempio critico di fallimento nella generazione di chiavi uniche per dispositivo (device-specific key generation).

Rischi di Autenticazione e Hashing delle Credenziali

Un ulteriore livello di rischio, scoperto durante l’analisi del firmware, riguarda la gestione delle credenziali utente:

Le credenziali utente sono salvate come hash MD5 non salati (unsalted MD5 hashes).
L’email dell account è salvata in plaintext (testo chiaro).

Un attaccante che acquista una telecamera Kasa usata, estrae il flash storage e decifra l’hash MD5 (operazione che richiede pochi secondi con una GPU) può autenticarsi nell’account completo TP-Link del proprietario originale. Questo permette l’accesso non solo alla telecamera, ma potenzialmente a tutti i dispositivi smart home associati a quell account.

Correlazione tra Geolocalizzazione e Attacchi Fisici

La combinazione di CVE-2026-9770 e CVE-2026-13230 crea un rischio di sicurezza fisica significativo. Un attaccante può:

Recuperare le coordinate GPS precise della casa tramite CVE-2026-13230.
Utilizzare la chiave hardcoded per decifrare il traffico e ottenere le credenziali amministrative tramite CVE-2026-9770.
Correlare questi dati per identificare, localizzare e compromettere completamente l’infrastruttura smart home di un utente specifico, inclusi i dispositivi di controllo dell’accesso fisico (come serrature smart o allarmi).

Aggiornamenti e Versioni Firmware Corrette

TP-Link ha corretto entrambe le vulnerabilità nelle seguenti versioni di firmware:

Versione 2.4.0 Build 20260520
Versione 2.4.1 Build 20260621

Gli utenti devono aggiornare tramite il portale di supporto ufficiale di TP-Link o l’app Kasa mobile, assicurandosi che l’app sia anche aggiornata alla versione più recente.

Misure di Mitigazione Tecniche

Per gli utenti che non possono aggiornare immediatamente, le seguenti misure tecniche possono limitare il rischio:

Segmentazione della Rete: Posizionare le telecamere su una rete IoT separata, isolata dalla rete principale dei dispositivi personali.
Crittografia Wi-Fi: Utilizzare protocolli di crittografia forti (es. WPA3) per proteggere la rete locale.
Restrizione dell’Accesso: Limitare l’accesso alla rete locale solo a dispositivi autorizzati, utilizzando liste di controllo degli accessi (ACL) sul router.
Firmware Router: Assicurarsi che il router di rete sia aggiornato alla versione più recente del firmware per prevenire compromissioni del gateway.

L’implementazione di queste misure tecniche può ridurre la capacità di un attaccante di raggiungere le interfacce di gestione della telecamera, anche se un altro dispositivo sulla rete è compromesso. La prontezza nell’applicare le correzioni è fondamentale per la sicurezza continua dei sistemi smart home.

Fonte: https://cybersecuritynews.com/tp-link-cameras-vulnerability/